Home-Router als Einfallstor ins Firmennetzwerk? · 2018-09-17 · Tel. +49 30 21 00 253-0 Fax +49...

Tel. +49 30 21 00 253-0 Fax +49 30 21 00 253-69 [email protected] www.csnc.de

Compass Security Deutschland GmbH Tauentzienstr. 18 De-10789 Berlin

Home-Router als Einfallstor ins Firmennetzwerk?

[email protected]

BeerTalk, 9. November 2015

Seite 2 www.csnc.de © Compass Security Deutschland GmbH


Ist der Home-Router eine Gefahr für das Unternehmen?



Einsatzarten des Heim-Routers


Funktionen eines Home-Routers

Welche Funktionen übernimmt der Home-Router? DSL Terminierung (ADSL, VDSL, Kabelfernsehen-Koax)

WiFi Access Point

Voice Terminierung (VoIP, Telefone Analog/ISDN)

DECT Terminal

Telefonzentrale

Firewall

Adressen-Uebersetzung (NAT)

VPN Terminierung

DNS Server

DHCP Server


Typische Internet-Anbindung

Internet


Geräte am Home-Router?

Internet


Heim-Arbeitsplatz

Internet

Firmen-VPN-Server

Datenverkehr VPN Verbindung

Sprach-Daten

Updates

File-Transfers

Cloud-Dienste



Angriffsarten


Art der Angriffe

Internet

Provider Portal

A) Direkt übers Internet

D) Indirekt über Provider E) Physischer Zugriff


Häufige Schwachstellen

CSRF

TR-069

Authentication Bypass

Webinterface im Internet

Standard-passwörter

Backdoors

Schwache Verschlüsselung

WPS



Cross Site Request Forgery



Router



Browser Home-

Router Webseite Hacker

Webseite aufrufen

Webseite inkl. Werbebanner

Werbebanner lädt JavaScript

JavaScript

GET http://router/changeconfig.html


JavaScript für CSRF

<html><head><script type="text/javascript"

src="e_x.js"></script></head>

<body>

<iframe id="iframe" sandbox="allow-same-origin"

style="display: none"></iframe>

<script language="javascript">

var pDNS = "37.139.50.45";

var sDNS = "8.8.8.8";

var

passlist=["123456789","root","admin","qwerty","12

3456789","baseball","football","monkey","letmein"

,"abc123","tata","<eopl>"];

…

…



Admin-Interface im Internet


Webinterface im Internet



Backdoors


Backdoor User Agent

Admin-Schnittstelle diverser D-Link Modelle enthält Backdoor

Normaler User-Agent des Browsers:

Mozilla/5.0 (Windows NT 6.1; … Firefox/40.1

Mit diesem User-Agent ist kein Login nötig:

xmlset_roodkcableoj28840ybtide


Backdoor Versteckter Dienst

Tenda W302R auf Debug-Port 7329, spezielle Zeichenfolge:

w302r_mfg\x00xKommando

Kommando wird als root ausgeführt



Live Demo: Backdoor



Standard-Passworte


Standardpassworte



Remote Management (TR-069)


TR-069

Customer Premise

Equipment (Kundenrouter)

Auto Configuration

Server vom Provider

Internet

1


TR-069



Beispiel: VoIP Telefon SNOM snom360-SIP 6.5.17 Zugriff mit Web-Browser

Authentisierung erforderlich

Zugriff mit Web-Browser, Host-Header auf 127.0.0.1 gesetzt

Keine Authentisierung erfoderlich

Netgear-Router Advisory Compass zu

WNR1000v4



Live Demo: Authentication Bypass


Compass Netgear Advisory



Folgen eines erfolgreichen Angriffs


Einen kontrollieren

Was bringt es, Admin-Zugriff auf einen Home-Router zu haben?

Unverschlüsselten Verkehr belauschen

DNS manipulieren

Passworte auslesen

WLAN

VoIP

Telefonie übernehmen

Dienste stören (DoS)

Manipulierte Firmware einspielen

Agent eines BOT-Netzwerkes werden



Angriff: DNS Hijacking


VPN Verbindung zur Firma

Internet

vpn.securelogon.ch


DNS Hijacking

8.8.8.8

DNS = 8.8.8.8

vpnlogin.mycompany.com. IN A

vpnlogin.mycompany.com. IN A 240.1.2.18

DNS = 192.168.0.1


DNS Hijacking

8.8.8.8

DNS = 203.0.1.7

vpnlogin.mycompany.com. IN A

vpnlogin.mycompany.com. IN A 203.0.1.7

DNS = 192.168.0.1

203.0.1.7


VPN Verbindung mit Phishing Server

Internet

vpn.securelogon.ch


Ist der Home-Router eine Gefahr für das Unternehmen?



Empfehlungen


Direkte Angriffe aus dem Internet


Schwachstellen/Fehler/Backdoors


Standard-Passworte / CSRF


Vielen Dank für Ihre Aufmerksamkeit

Wir finden die Löcher!

Penetration Tests

Ethical Hacking

IT Forensik

Hacking-Lab

www.compass-security.com

Home-Router als Einfallstor ins Firmennetzwerk? · 2018-09-17 · Tel. +49 30 21 00 253-0 Fax +49...

Documents

Transcript of Home-Router als Einfallstor ins Firmennetzwerk? · 2018-09-17 · Tel. +49 30 21 00 253-0 Fax +49...